NGINX Plus 脆弱性CVE-2026-42533——map指令の欠陥と修正対応

NGINX Plus 脆弱性 CVE-2026-42533 の概要——map指令で何が起きるか

2026年7月15日、F5はNGINX PlusおよびNGINX Open Sourceに影響する脆弱性CVE-2026-42533を公開した（最終更新: 2026年11月3日、出典: cve.org / CVE-2026-42533）。

問題の核心はmap指令における正規表現マッチング処理にある。map指令が正規表現マッチングを使用し、文字列表現がmapの出力変数を参照する前にmapの正規表現キャプチャ変数を参照する場合に欠陥が顕在化する。加えて、特定の条件下でキャッシュ不可能な変数を文字列表現内で使用した場合にも同様の結果が生じ得る。

攻撃の起点はリモートからの細工されたHTTPリクエストであり、認証は不要とされている。この欠陥が引き起こす直接的な影響は、NGINXワーカープロセスでのヒープバッファオーバーフローであり、ワーカープロセスの再起動に至る可能性がある。さらに、Address Space Layout Randomization（ASLR）が無効なシステム、または攻撃者がASLRを回避できる状況下では、任意コード実行につながる可能性がCVE記録に明記されている。コントロールプレーンへの露出はなく、データプレーンのみの問題と位置づけられている。

関連記事Brotli脆弱性は悪用されている？ ／ Barracuda ESG認証バイパスの仕組みは？

CVSSスコアと悪用可能性——NGINX Plus 脆弱性 CVE-2026-42533 の深刻度を正しく読む

CVE-2026-42533のCVSSスコアは以下のとおりである（評価者: f5 / CNA）。

CVE-2026-42533 CVSSスコアおよび悪用状況（評価者: f5、出典: cve.org）

指標	値	補足
CVSS 3.1 スコア	8.1（HIGH）	攻撃経路: ネットワーク / 認証不要 / 攻撃複雑度: 高
CVSS 4.0 スコア	9.2（CRITICAL）	後続システムへの影響を考慮した新体系での評価
CISA KEV掲載	掲載なし	2026年11月5日時点
EPSS（悪用確率推定）	約6.3% （パーセンタイル 93.6%）	2026年11月5日時点・FIRST EPSSによる統計的推定。確定値ではない

CVSS 4.0で9.2（CRITICAL）という評価は、CVSS 3.1（8.1）とは異なる評価体系に基づくものであり、どちらもF5（CNA）による評価である。EPSSの約6.3%という推定値はFIRST EPSSによる統計的推定であり、確定的な予測ではない。

影響を受けるバージョン——NGINX Plus 脆弱性 CVE-2026-42533 の対象範囲

CVE公式記録（cve.org）に基づく対象バージョンは以下のとおりである。技術サポート終了（EoTS）に達したバージョンはF5の評価対象外とされている点に留意する。

CVE-2026-42533 影響を受けるバージョン（出典: cve.org）

製品	影響バージョン範囲	備考
F5 NGINX Plus	37.0.0.1 以上 37.0.3.1 未満	修正バージョンはF5公式告知（myF5 K000162097）を参照
	R36 以上 R36 P7 未満
	R33 以上 *（上限値はCVE記録に明記されていないため、F5公式告知で確認）
F5 NGINX Open Source	1.31.2 以上 1.31.3 未満	修正バージョンはF5公式告知（myF5 K000162097）を参照
	0.9.6 以上 1.30.4 未満

R33系の「影響範囲の上限が*」という記載はCVE記録の表現であり、具体的な修正済みバージョンについてはF5の公式告知ページ（myF5 K000162097）を直接確認することが必要である。

今やること——NGINX Plus 脆弱性 CVE-2026-42533 への実務的対応

CISA KEV（悪用が確認された脆弱性カタログ）への掲載は確認されていない（2026年11月5日時点）。KEVに掲載されていないことは、悪用が全く発生していないことを意味しない。

対応の要点は以下の2点に集約される。

1. 影響を受けるバージョンを使用している場合は、F5公式告知（myF5 K000162097）が示す修正済みバージョンへ更新する。本記事執筆時点でベンダー告知ページがエラー表示のためアクセスできず、修正済み版番号を記事内で確定的に記載することができない。最新の修正版を確認するには公式告知ページを直接参照する。
2. 修正版が用意されていない場合は、F5公式告知に記載の回避策に従う。本記事では告知本文が取得できていないため、公式が示す回避策の名称・手順は記事内に記載できない。公式告知を参照する。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE-2026-42533 公式記録 — https://www.cve.org/CVERecord?id=CVE-2026-42533
• NVD（米国国家脆弱性データベース）CVE-2026-42533 — https://nvd.nist.gov/vuln/detail/CVE-2026-42533
• F5 セキュリティ告知 K000162097 — https://my.f5.com/manage/s/article/K000162097